OpenVPN edo IKEv2: lau egiaztapen protokoloa aukeratu aurretik

OpenVPN eta IKEv2 arteko aukera protokolo-kontu gisa planteatzen da normalean, eta planteatze horrek erabakia alferrik galtzen du. Erabakitzen duena zera da: zure zerbitzariak eta gailuek profil oso bera onartzen duten, eta profil horrek sareen artean mugitzeko duzun moduari eusten dion. Bi pilak ez dira elkarren itzulpen: OVPN fitxategia ez da sintaxi desberdineko IKEv2 profila. Lau egiaztapen, ordenan eginda, edozein funtzio-taula baino azkarrago erantzuten diote galderari.

Bezero bat falta bada, eztabaida amaitzen da

Windows eta macOS IKEv2 bezeroarekin datoz, beraz IKEv2 profilak ez du ezer gehiago kostatzen han hedatzeko eta sistema eragileak jada eskaintzen dituen hornikuntza-aukerak heredatzen ditu. OpenVPN makina berberetan hirugarrenen bezeroa instalatu, eguneratu eta mantendu behar dela esan nahi du, eta bezero horrek profilean erabiltzen den aukera bakoitza onartu behar du. Kontatu estali behar dituzun plataformak beste ezer alderatu aurretik, zeren bezero funtzionalik gabeko plataforma ez baita inolako alderatze-puntu.

Windowsen, komando batek jada dauden profilak zerrendatzen ditu eta bakoitza zein motatakoa den erakusten du. Inprimatzen duen izena geroko egiaztapenek erabiltzen duten izena da.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Bezeroa instalatzeko eskaera da plataforma horietan OpenVPN zutabearen benetako erantzuna, eta hedapen-zeregina da, ez protokoloaren muga. Bi antolamenduetako batek ere ez ditu kentzen konfiantza-egiaztapenak, identitate-egiaztapena edo mantentze-lanak. Galdetu nola banatzen diren profilak, nola berritzen diren kredentzialak eta nola kentzen den galdutako gailu bat konprometitu aurretik. Instalazio sinple batek asteburuan inork exekutatu nahi ez duen berreskuratze-prozesu bat ezkuta dezake oraindik.

Mugikortasuna ezarpen bateratua da, ez protokoloaren promesa

IKEv2k MOBIKE erabil dezake bi muturrek onartu eta gaitzen dutenean, eta horrek bezeroari bere tunela mantentzeko aukera ematen dio helbidea aldatzen den bitartean. RFC 4555 luzapenaren definizioa da, eta baldintzazko formulazioak garrantzia du: gaitasuna alde batera uzten duen zerbitzariak berriro negoziatzen du horren ordez. Emaitza berdin-berdina izan daiteke fitxategi-transferentzia batean eta oso desberdina zuzeneko dei batean.

Probatu benetan axola zaizun trantsizioa, begizta dezakezun zerbait martxan dagoela. Utzi ping -t <internal-host> Windowsen lanean, edo ohiko ping beste leku batean, gero aldatu Wi-Fitik mugikorrera eta behatu hutsuneak. MOBIKE huts eginez gero, bezeroaren erregistroan berrautentifikazio osoa agertzen da, helbide-eguneratze isila beharrean. Neurtzen ari zarena tunelak aldaketari eusten dion ala ez da, eta ez protokoloak sostengua iragartzen duen ala ez.

OpenVPN bezeroak beren plataformaren portaeraren eta profilaren tenporizadoreen arabera konektatzen dira berriro, beraz proba berak etendura-forma desberdina eman dezake. Alderatu zure erabiltzaileei axola zaien gertaera, eta ez protokoloan dagoen etiketa.

Kredentzialak zerbitzuarenak dira, ez pilarenak

Ziurtagiriak eta saioa hasteko beste antolamendu batzuk konexioa amaitzen duen zerbitzuarenak dira. Bezero batean pasahitza eskatzeak ez du ezer esaten beste batekin bateragarritasunari buruz, eta beste atebide baten aurka funtzionatzen duen profilak ez du ezer esaten honi buruz. Mantendu zerbitzariaren identitate-arauak ukitu gabe bi pilak alderatzen dituzun bitartean. Porrota identifikatu aurretik protokoloa aldatzeak bigarren profil bateraezin bat sortzen du normalean.

Aztertu bezeroak aurkeztuko duen kredentziala bi protokoloetako edozein erruduntzat jo aurretik, zeren iraungitako edo gaizki emandako ziurtagiri batek berdin huts egiten baitu bietan. Beheko irteerak gaia, emailea eta baliozkotasun-datak erakusten ditu gako pribatua irakurri gabe.

openssl x509 -in client.crt -noout -subject -issuer -dates

Enpresako konexio baterako, erabili enpresak argitaratzen duen metodoa eta utzi alderaketa esperimentu gisa tratatzeari. Bi aukerak zeure bururako alderatzen badituzu, egiaztatu lehenengo biak atebide bakarrean amaitzen diren, xehetasun bakar horrek erabakitzen baitu zure emaitzaren zati bat protokoloari buruzkoa den. Kredentzialari izena ematen dion ukapen bat kredentzial-arazoa da, eta protokolo-aldaketak ez du konponduko.

Egiaztatu tunelak benetan zer bideratzen duen

Konektatu ondoren, egiaztatu behar duzun ibilbidea badagoela eta izenak ebazten direla. Barne-baliabideetarako dagoen profil batek nabigazio arrunta bide lokalean utz dezake diseinuaren arabera, eta hori politika-erabakia da, ez akatsa. Garrantzitsua zure taldeak erabiltzen dituen helmugak tunelaren bidez irisgarri diren ala ez da.

Bi komandok estaltzen dute ibilbidea eta izen-bilaketa Windowsen. Linuxeko baliokideak hauek dira: ip route show default eta resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunel bat altxatzen eta ezer erabilgarririk bideratzen ez duena ohiko emaitza da profila zerbitzuen artean kopiatu denean, eta konektibitate-proba orokor batek ez du erakutsiko interfazea aktibo dagoelako. Probatu zure erabiltzaileek lehenengo irekitzen duten baliabidea, edozein bidek har dezakeen helbide publiko bat beharrean. Izena helbide publiko batera ebazten bada ibilbidea tunelaren barrura seinalatzen duen bitartean, DNS erantzuna eta ibilbidea erabaki desberdinenak dira eta biak konpondu behar dira.

Pisatu mantentze-lanak egiaztapenen ondoren

Bi protokoloetako bat ere ez da mantentze-errazagoa abstraktuan. Mantentze-lanak atebidea nork kudeatzen duen, profilek gailuetara nola iristen diren eta galdutako gailu batek sarbidea zenbat azkar galtzen duen araberakoak dira. Muturreko bezero sinple bat zailagoa den zerbitzari baten aurrean egon daiteke, eta alderantzizkoa ere gertatzen da. Galdetu zure taldeak zein mantendu dezakeen funtzionatzen hura eraiki zuen pertsona joan ondoren.

Aukeratu lana estaltzen duen konexio onartua, eta gero probatu benetan behar duzun sarbidearen aurka, funtzio-zerrendaren aurka baino. Idatzi zein atebidetan amaitzen den aukera bakoitza, bi atebide desberdinek alderaketa protokoloena bezainbeste ibilbideena bihurtzen baitute. Errepikatu lau egiaztapenak benetan eramango duzun gailuan, eta gorde hura gainditzen duen profila.